Ären VPN-DNS-Fallback: wou d'Ufro wierklech hien geet

Eng Resolver-Astellung spréngt vun der privater Adress op eng ëffentlech, an de Schluss kënnt direkt: den Tunnel leckt. Heiansdo ass et esou. Dacks ass d'Ersatzufro awer nach ëmmer bannent dem Tunnel bei engem Resolver ukomm, deen den Administrateur gewielt huet, wat et zu enger Politiksentscheedung amplaz vun engem Feeler mécht. Dës Fäll ze trennen erfuerdert dräi Fakten amplaz engem, an deen éischten dovun ass wien geäntwert huet. Fannt eraus, wien d'Ufro krut, wéi eng Route se gedroen huet a wéi eng Nimm gefrot goufen.

Fallback ass eng Politik, net een eenzegen Ëmgank

Jiddwereen Client muss decidéieren wat en mécht, wann de bevorzugte Resolver ophält ze äntweren. En kann d'Resolutioun blockéieren, et nach eng Kéier probéieren, eng konfiguréiert Alternativ benotzen oder et dem Betribssystem iwwerloossen, an aus Dateschutzsicht sinn dat véier verschidde Produkter. D'Astellungsbildschierm liesen seet Iech, wéi en Ëmgank konfiguréiert ass; et seet Iech net, wéi ene geschitt ass. En Ecran mat engem eenzegen Schalter beschreift net véier Méiglechkeeten.

Browsere fügen hir eege Schicht dobäi. E Browser mat aktivéiertem sicheren DNS kann en Numm iwwer säin eegene gewielten Ubidder opléisen, och wann d'Betribssystem soss wouhin weist, wat bedeit, datt d'Politik vum Tunnel-Client vläicht ni gefrot gëtt fir d'Ufroe fir déi Dir Iech wierklech interesséiert. Kontrolléiert d'Applikatioun déi d'Ufro gemaach huet, net just d'Systemastellung.

D'Identitéit vum Ersatzresolver ass deen éischte Fakt, deen et wäert ass festzestellen. En ëffentleche Resolver, deen zu engem Ubidder gehéiert, deem Dir schonn vertraut, ass eng aner Situatioun wéi eng Adress, déi vum Netzwierk geliwwert gëtt, op deem Dir just sidd. D'Adress selwer seet seelen, wéi eng vun den zwou Dir virun Iech hutt.

Wien d'Ufro no der Ëmstellung kritt

Den Empfänger an d'Route sinn onofhängeg, an nëmmen hir Kombinatioun beschreift d'Expositioun. En ëffentleche Resolver, deen duerch den Tunnel erreecht gëtt, gesäit Är Zougangsnetzwierkadress ni, während deen selwechte Resolver direkt erreecht se gesäit. Béid Fäll liwweren eng Äntwert, an en Test op e Lach, deen nëmmen d'Resolver-Adress mëttelt, wäert se identesch beschreiwen. Frot d'Interface souwéi d'Adress, wann Dir d'Resultat liest.

Intern Nimm maachen den Ënnerscheed konkret. En ëffentleche Resolver kann normalerweis keen Numm aus engem split-horizon beäntwerten, dofir schléit d'Ufro fehl, während den Numm nach ëmmer enger Partei bekannt gemaach gouf, déi näischt domat ze dinn hat. Disponibilitéit a Privatsphär ginn hei also zesummen amplaz sech ze tauschen.

En Tunnel kann d'Ufro och bei en Resolver droen, deen net vum VPN-Ubidder bedriwwe gëtt, well den Tunnel weidergëtt amplaz ze léisen. Den Host, deen weidergëtt, gesäit d'Ufro am Kloertext an oppent dann seng eege Verbindung weider, wat de nächsten Hopp schützt ouni deen éischten ze schützen.

Kontrolléiert d'Route an den Empfänger zesummen

Observéiert d'Paketen amplaz vun der Konfiguratioun. Frot de System, wéi en Resolver benotzt géif ginn, a bestätegt dann, datt d'Ufro wierklech vun der erwaarter Interface op déi erwaart Adress gaang ass.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Wann d'Aufrécknung weist, datt d'Ufro d'physesch Interface verléisst während den Tunnel un ass, huet de Fallback den Tunnel ëmgang, egal wat d'Lëscht vun de Resolver seet. Wann se op der Tunnel-Interface erschéngt, gëtt d'Fro, wien dat wäit Enn bedreift a wat et behält.

Widderhëlt d'Kontroll fir een internen an een ëffentlechen Numm. D'intern Ufro ass wou eng Fallback-Konfiguratioun sech normalerweis weist, well en Resolver, deen net äntwere kann, d'Fro nach ëmmer kritt.

Decidéiert ob de Fallback erlaabt soll ginn

Wann d'Ufuerderung ass, datt d'Resolutioun stoppt, wann de bevorzugte Resolver net verfügbar ass, konfiguréiert eng Duerchsetzungspolitik déi zouen ausfällt an akzeptéiert d'Konsequenz: Nimm ginn während enger Stéierung net opgeléist. Dat ass en bewossenen Disponibilitéitshandel an net eng Funktiounsstéierung, an den Design sollt dat soen ier d'Stéierung geschitt.

Wann d'Ufuerderung just ass, datt Ufroen net baussen dem Tunnel reese sollen, kann en ëffentleche Resolver, deen duerch den Tunnel erreecht gëtt, akzeptabel sinn, wann den Operateur a seng Späicherpolitik verstane ginn. Sou eng Akzeptanz ass en Uerteel iwwer eng drëtt Partei an net eng Ausso iwwer Kryptografie, an et gehéiert deemjenen, deen de Dateschutz-Uspruch huet. Wann intern Nimm musse weiderfunktionéieren, muss de Fallback en Resolver sinn, deen déi intern Zonen huet, wat normalerweis bedeit, datt d'Fallback-Zil e anere Server ass an net eng aner Adressfamill.

Dokumentéiert d'Resultat als enger Saz iwwer den Ëmgank: wéi en Resolver Ufroe am normalen Betrieb kritt, wien se no engem Feeler kritt, an ob intern Nimm am zweete Fall opgeléist ginn. En Test op e Lach, deen um Enn eng Säit luedt, beweise manner wéi deen Saz, well eng Säit duerch en Resolver ka geluede ginn, dee ni sollt gefrot ginn.